Connecter vos collègues par le fournisseur d'identité de votre entreprise

Avec le SSO (authentification unique), vos collègues se connectent à Facteur avec le compte que votre entreprise leur a déjà donné, sans un mot de passe de plus à retenir. Ce compte est tenu par votre fournisseur d'identité : le service de votre entreprise qui confirme qui est qui, par exemple Microsoft Entra ID, Okta ou Google Workspace.

Le SSO se configure depuis l'application, par vous, sans devis ni appel. Il est inclus à partir de l'offre Team. Sur une offre inférieure, l'écran le dit et nomme l'offre requise.

Tout se passe dans Paramètres → Authentification unique. Les propriétaires et les administrateurs gèrent le fournisseur et les domaines. Seul le propriétaire choisit la politique d'entrée.

1. Relier votre fournisseur d'identité

Cliquez sur Relier un fournisseur, puis choisissez le protocole. Votre fournisseur vous donne les valeurs demandées dans sa console d'administration, quand vous y créez une application pour Facteur.

• OIDC : trois valeurs à recopier, l'émetteur (l'adresse https de votre fournisseur, par exemple https://login.acme.com), l'identifiant client et le secret client. Facteur garde le secret chiffré et ne l'affiche plus.
• SAML : le fichier XML de métadonnées de votre fournisseur, que vous collez ou que vous chargez avec Charger un fichier de métadonnées. 512 Ko au plus.

Cliquez sur Relier. Une organisation a un seul fournisseur.

Les métadonnées SAML sont vérifiées tout de suite. Elles sont refusées, avec la raison, si elles ne nomment pas d'adresse de connexion (HTTP-Redirect ou HTTP-POST) ou de certificat de signature, si le certificat a expiré ou n'est pas encore valable (l'écran donne la date), si elles signent en SHA-1, ou si elles contiennent un DOCTYPE.

Le fournisseur ne sert à rien tant qu'aucun domaine n'est prouvé. Sans domaine prouvé au bout de 7 jours, il est supprimé. L'écran affiche la date.

2. Prouver votre domaine

Le domaine est la fin des adresses de vos collègues : acme.com pour paul@acme.com. Le prouver montre que ce domaine est à vous. Sans cette preuve, n'importe qui pourrait déclarer le domaine d'un tiers et capter ses connexions.

1. Cliquez sur Déclarer un domaine et écrivez-le comme acme.com, sans https:// ni chemin. Un sous-domaine, comme eu.acme.com, se déclare à part.

2. Facteur affiche un enregistrement DNS de type TXT, avec un bouton de copie pour son nom et pour sa valeur :

   _facteur-challenge.acme.com   TXT   facteur-verification=<jeton>
   

3. Ajoutez cet enregistrement chez l'hébergeur où vous gérez le nom de domaine.

4. Cliquez sur Vérifier. Facteur lit l'enregistrement : s'il y est, le domaine est prouvé.

Un nouvel enregistrement peut mettre quelques minutes à se propager : réessayez si la première vérification échoue. La valeur ne s'affiche qu'une fois. Si vous la perdez, cliquez sur Obtenir une nouvelle valeur : l'ancienne ne prouve plus rien.

Un domaine déjà prouvé par une autre organisation est refusé.

Gardez une porte de secours. Facteur refuse la preuve si aucun propriétaire n'a d'adresse hors du domaine. C'est ce propriétaire qui pourra encore ouvrir l'organisation si votre fournisseur d'identité tombe en panne. S'il n'y en a pas, écrivez-nous depuis le support pour nommer un propriétaire avec une autre adresse, puis prouvez le domaine.

Ce qui change une fois le domaine prouvé

• Vos collègues saisissent leur adresse professionnelle sur l'écran de connexion. L'écran les envoie de lui-même vers votre fournisseur d'identité. Facteur n'ajoute pas de bouton.
• Le mot de passe est refusé à toutes les adresses du domaine, y compris celles dont le compte en a déjà un, et la vôtre si elle s'y trouve. Seul un propriétaire dont l'adresse est hors du domaine garde son mot de passe.
• Un collègue qui se connecte pour la première fois par votre fournisseur entre dans l'organisation comme membre. Vous n'avez pas à l'inviter.
• Une adresse qui n'est pas dans un domaine prouvé ne peut pas entrer par votre fournisseur.

Le SSO ne s'ajoute donc pas aux autres façons d'entrer : pour les adresses du domaine, il les remplace dès la preuve. Vérifiez la configuration de votre fournisseur avant de prouver le domaine.

Choisir les façons de se connecter que l'organisation admet

La section Politique d'entrée est réservée au propriétaire. Cochez les façons de se connecter que l'organisation accepte : Mot de passe, Clé d'accès, Compte social, Authentification unique de l'entreprise. Aucune case cochée : toutes sont admises. Cliquez sur Enregistrer.

• Une personne connectée autrement voit l'organisation grisée, avec la raison. La politique est lue à chaque requête : elle s'applique tout de suite, sans attendre une nouvelle connexion.
• Le propriétaire garde toujours l'accès, quelle que soit la politique. C'est votre sortie de secours le jour où votre fournisseur d'identité est indisponible.
• Pour exiger le SSO sans mot de passe, connectez-vous d'abord une fois par lui. Sinon la politique est refusée : vous risqueriez de vous enfermer dehors.
• Les autres organisations de vos membres ne sont pas concernées.

Décocher les cases revient en arrière.

Ce qui change pour vos membres qui travaillent ailleurs

Une session ouverte par votre fournisseur d'identité donne accès à votre organisation, et à elle seule. Cela vaut pour tout le monde, propriétaires compris.

Si l'un de vos membres appartient aussi à une autre organisation Facteur, par exemple un prestataire qui travaille chez l'un de vos clients, cette organisation lui apparaît grisée, avec le message « Votre connexion est limitée à » suivi du nom de la vôtre. Pour y aller, il se déconnecte puis se reconnecte sans passer par votre fournisseur.

Votre fournisseur décide qui entre chez vous, donc il ne décide que chez vous. Sans cette limite, l'administrateur de votre annuaire obtiendrait, en ouvrant une session au nom d'un de vos salariés, les accès que ce salarié détient chez un tiers.

Vos membres qui n'appartiennent qu'à votre organisation ne voient aucune différence. Voir Plusieurs organisations.

Si votre fournisseur d'identité tombe en panne

Un propriétaire dont l'adresse est hors du domaine ouvre l'organisation avec son mot de passe et son second facteur.

Écrivez-nous aussi depuis le support : l'équipe de Facteur peut rouvrir la connexion par mot de passe sur un domaine prouvé, pour 7 jours au plus. L'écran affiche alors « Retiré jusqu'au » suivi de la date. Vos collègues qui n'ont jamais eu de mot de passe en créent un avec « Mot de passe oublié ». À la date dite, la connexion par votre fournisseur reprend d'elle-même.

Supprimer le fournisseur

Cliquez sur Supprimer à côté du fournisseur, puis sur Supprimer le fournisseur. Vos collègues ne peuvent plus se connecter par le SSO, et les domaines déclarés partent avec le fournisseur. Leurs comptes Facteur restent. La suppression est possible sur toute offre.

Limites connues

• L'écran ne donne pas l'adresse de retour à déclarer chez votre fournisseur (l'URL de redirection en OIDC, l'URL ACS en SAML). Demandez-la au support.
• Une configuration que le service de connexion refuse n'apparaît qu'à la preuve du premier domaine. Par exemple, un émetteur OIDC faux ou injoignable fait échouer la vérification, et le domaine reste non prouvé. Pour corriger, supprimez le fournisseur et reliez-le de nouveau : vos domaines seront à déclarer et à prouver une seconde fois.
• Pas de synchronisation automatique des comptes (SCIM). Une personne retirée de votre annuaire ne peut plus se connecter par le SSO, mais elle reste membre de l'organisation.
• La politique d'entrée ne peut pas exiger la double authentification. Voir Votre organisation.